使用 Microsoft Purview DevOps 原則在 Azure SQL 資料庫中布建系統中繼資料的存取權

發行項
08/30/2023

DevOps 原則是一種 Microsoft Purview 存取原則。它們可讓您管理已在 Microsoft Purview 中註冊資料 使用管理 之資料來源上的系統中繼資料存取權。這些原則是直接從 Microsoft Purview 治理入口網站設定，儲存之後，資料來源會自動發佈並強制執行這些原則。 Microsoft Purview 原則只會管理 Azure AD 主體的存取權。

本操作指南涵蓋如何設定 Azure SQL 資料庫，以強制執行在 Microsoft Purview 中建立的原則。其中涵蓋Azure SQL資料庫的設定步驟，以及 Microsoft Purview 中使用 DevOps 原則動作SQL 效能監視或SQL 安全性稽核， (DMV 和 DMF) 布建存取Azure SQL資料庫系統中繼資料的步驟。

必要條件

具有使用中訂用帳戶的 Azure 帳戶。免費建立帳戶。
新的或現有的 Microsoft Purview 帳戶。請遵循本快速入門手冊來建立一個。

在這項功能的其中一個目前可用區域中，建立新的Azure SQL資料庫實例，或使用現有的實例。您可以遵循本指南來建立Azure SQL資料庫實例。

區域支援

支援所有 Microsoft Purview 區域。

Microsoft Purview 原則的強制執行僅適用于Azure SQL資料庫的下欄區域：

公用雲端：

美國東部
美國東部 2
美國中南部
美國中西部
美國西部3
加拿大中部
巴西南部
西歐
北歐
法國中部
英國南部
南非北部
印度中部
東南亞
東亞
澳大利亞東部

主權雲端：

USGov 維吉尼亞州
中國北部 3

針對來自 Microsoft Purview 的原則設定Azure SQL資料庫實例

若要讓與 Azure SQL Database 相關聯的邏輯伺服器接受來自 Microsoft Purview 的原則，您必須設定 Azure Active Directory 系統管理員。在Azure 入口網站中，移至裝載 Azure SQL Database 實例的邏輯伺服器。在側邊功能表上，選取 [Azure Active Directory]。將系統管理員名稱設定為您偏好的任何 Azure Active Directory 使用者或群組，然後選取 [ 儲存]。

顯示將 Active Directory 系統管理員指派給與 Azure SQL Database 相關聯之邏輯伺服器的螢幕擷取畫面。

然後，在側邊功能表上，選取 [ 身分識別]。在 [系統指派的受控識別] 下，將狀態開 啟，然後選取 [ 儲存]。

此螢幕擷取畫面顯示將系統指派的受控識別指派給與 Azure SQL Database 相關聯的邏輯伺服器。

Microsoft Purview 設定

在 Microsoft Purview 中註冊資料來源

您必須先在 Microsoft Purview Studio 中註冊該資料資源，才能在 Microsoft Purview 中建立資料資源的原則。您稍後會在本指南中找到與註冊資料資源相關的指示。

注意事項

Microsoft Purview 原則依賴資料資源 ARM 路徑。如果資料資源移至新的資源群組或訂用帳戶，則必須取消註冊，然後再次在 Microsoft Purview 中註冊。

設定許可權以啟用資料來源的資料使用管理

註冊資源之後，但在 Microsoft Purview 中為該資源建立原則之前，您必須設定許可權。需要一組許可權，才能啟 用資料使用管理。這適用于資料來源、資源群組或訂用帳戶。若要啟 用資料使用管理，您必須同時擁有資源的特定身分識別和存取管理 (IAM) 許可權，以及特定的 Microsoft Purview 許可權：

您必須在資源的 Azure Resource Manager 路徑上具有下列其中一個IAM 角色組合，或 (任何父系，也就是使用 IAM 許可權繼承) ：
- IAM 擁有者
- IAM 參與者和 IAM 使用者存取系統管理員
若要 (RBAC) 許可權設定 Azure 角色型存取控制，請遵循本指南。下列螢幕擷取畫面顯示如何存取資料資源Azure 入口網站中的 [存取控制] 區段，以新增角色指派。

注意事項

資料資源的 IAM 擁有者 角色可以繼承自父資源群組、訂用帳戶或訂用帳戶管理群組。檢查哪些 Azure AD 使用者、群組和服務主體持有或繼承資源的 IAM 擁有者 角色。
如果已啟用繼承) ，您也必須擁有集合的 Microsoft Purview 資料來源 管理員角色或父集合 (。如需詳細資訊，請參閱管理 Microsoft Purview 角色指派的指南。

下列螢幕擷取畫面顯示如何在根集合層級指派 資料來源系統管理員 角色。

設定 Microsoft Purview 許可權以建立、更新或刪除存取原則

若要建立、更新或刪除原則，您必須在根集合層級取得 Microsoft Purview 中的原則作者角色：

原則作者角色可以建立、更新和刪除 DevOps 和資料擁有者原則。
原則作者角色可以刪除自助式存取原則。

如需管理 Microsoft Purview 角色指派的詳細資訊，請參閱在Microsoft Purview 資料對應中建立和管理集合。

注意事項

原則作者角色必須在根集合層級設定。

此外，若要在建立或更新原則主體時輕鬆搜尋 Azure AD 使用者或群組，您可以從取得 Azure AD 中的目錄讀取者許可權中獲益。這是 Azure 租使用者中使用者的常見許可權。如果沒有目錄讀取者許可權，原則作者就必須輸入資料原則主體中所包含之所有主體的完整使用者名稱或電子郵件。

設定發佈資料擁有者原則的 Microsoft Purview 許可權

如果您將 Microsoft Purview 原則作者和 資料來源系統管理員 角色指派給組織中的不同人員，資料擁有者原則允許檢查和平衡。資料擁有者原則生效之前， (資料來源系統管理員) 必須檢閱該原則，並透過發佈來明確核准。這不適用於 DevOps 或自助式存取原則，因為建立或更新這些原則時，會自動發佈這些原則。

若要發佈資料擁有者原則，您必須在根集合層級取得 Microsoft Purview 中的資料來源管理員角色。

如需管理 Microsoft Purview 角色指派的詳細資訊，請參閱在Microsoft Purview 資料對應中建立和管理集合。

注意事項

若要發佈資料擁有者原則，必須在根集合層級設定資料來源系統管理員角色。

將存取布建責任委派給 Microsoft Purview 中的角色

啟用資料 使用管理的資源之後，任何在根集合層級具有原則作者角色的 Microsoft Purview 使用者都可以從 Microsoft Purview 布建該資料來源的存取權。

注意事項

任何 Microsoft Purview 根 集合管理員 都可以將新的使用者指派給根 原則作者 角色。任何 集合管理員 都可以將新的使用者指派給集合下的資料 源系統管理員 角色。將擔任 Microsoft Purview 集合系統管理員、 資料來源系統管理員或原則作者角色的使用者降到最低並仔細審查。

如果刪除具有已發佈原則的 Microsoft Purview 帳戶，這類原則會在相依于特定資料來源的一段時間內停止強制執行。這項變更可能會影響安全性和資料存取可用性。 IAM 中的參與者和擁有者角色可以刪除 Microsoft Purview 帳戶。您可以前往 Microsoft Purview 帳戶 的 [存取控制 (IAM) ] 區段，然後選取 [ 角色指派]，以檢查這些許可權。您也可以使用鎖定來防止透過Resource Manager鎖定刪除 Microsoft Purview 帳戶。

在 Microsoft Purview 中註冊資料來源

Azure SQL資料庫資料來源必須先向 Microsoft Purview 註冊，才能建立存取原則。您可以遵循下列指南：

註冊和掃描Azure SQL資料庫

註冊資源之後，您必須啟用資料使用管理。資料使用管理需要特定許可權，而且可能會影響資料的安全性，因為它會委派給特定 Microsoft Purview 角色，以管理資料來源的存取權。 請參閱本指南中與資料使用管理相關的安全做法：如何啟用資料使用管理

一旦您的資料來源已啟用[資料使用管理] 切換，它看起來會像此螢幕擷取畫面。這可讓存取原則與指定的資料來源搭配使用。

顯示如何註冊原則資料來源的螢幕擷取畫面。

返回 Azure SQL Database 的Azure 入口網站，以確認它現在受到 Microsoft Purview 的控管：

透過此連結登入Azure 入口網站
選取您要設定的Azure SQL伺服器。
移至左窗格中的 [Azure Active Directory ]。
向下捲動至 Microsoft Purview 存取原則。
選取 [ 檢查 Microsoft Purview 控管]按鈕。處理要求時等候。這可能需要幾分鐘的時間。
確認 Microsoft Purview 治理狀態顯示 Governed 。請注意，在 Microsoft Purview 中啟用資料使用管理以反映正確的狀態之後，可能需要幾分鐘的時間。

注意事項

如果您停用此Azure SQL資料庫資料來源的資料使用管理，可能需要 24 小時的時間，Microsoft Purview 控管狀態才會自動更新為 Not Governed 。選取 [檢查 Microsoft Purview 控管] 即可加速此功能。啟用另一個 Microsoft Purview 帳戶中資料來源的資料 使用管理 之前，請確定 Purview 治理狀態顯示為 Not Governed 。然後使用新的 Microsoft Purview 帳戶重複上述步驟。